L'invention concerne un procédé et un agent client pour contrôler l'utilisation d'un contenu protégé associé à une licence de gestion de droits numériques.
Une licence de gestion de droits numériques, ou licence "DRM" (Digital Rights Management), associée à un contenu protégé par chiffrement, est une structure de données contenant généralement :
Les conditions d'utilisation du contenu peuvent comprendre un nombre maximal d'utilisation du contenu, une fenêtre temporelle durant laquelle le contenu peut être utilisé, un nombre de transferts autorisés du contenu entre différents terminaux, etc. Afin d'utiliser un contenu protégé et associé à une licence DRM à l'aide d'un terminal, un agent client DRM situé dans le terminal vérifie au préalable si les conditions d'utilisation sont satisfaites. Si tel est le cas, l'agent client DRM fournit généralement la clé cryptographique présente dans la licence à un module de déchiffrement qui déchiffre alors le contenu.
Par ailleurs, il existe des applications de gestion de contrôle parental. Une application de gestion de contrôle parental permet de restreindre automatiquement l'accès à certains contenus, afin de protéger certains utilisateurs contre des contenus inappropriés. Il existe différents types d'applications de gestion de contrôle parental. Une application selon un premier type est configurée pour appliquer la législation en termes de contrôle parental. Une application selon un deuxième type est gérée par les parents afin de leur permettre de restreindre automatiquement l'accès à certains contenus pour leurs enfants. Dans ce cas, l'application est paramétrée par les parents qui définissent des critères parentaux applicables à leurs enfants. Les contenus sont caractérisés par des informations relatives à leur nature qui peuvent comprendre par exemple des niveaux en matière de violence, de nudité et de sexe. Lorsqu'un utilisateur demande à accéder à un contenu donné, l'application de gestion de contrôle parental peut fournir à l'utilisateur des informations sur la nature du contenu, c'est-à-dire sur les niveaux du contenu en matière de violence, de nudité et de sexe. Puis, si les critères parentaux requièrent que l'utilisateur ait une certaine maturité pour accéder à ce contenu, l'application peut lui demander de prouver qu'il est suffisamment mature en lui demandant soit de saisir un code parental confidentiel, soit de s'identifier avec un compte utilisateur considéré comme suffisamment mature, soit de fournir des coordonnées de carte bancaire, soit de fournir des données d'identification, etc. L'application de gestion de contrôle parental détermine ensuite si l'utilisation du contenu par l'utilisateur considéré est autorisée ou non, en fonction de la preuve apportée.
Les systèmes DRM permettent de contrôler l'utilisation de contenus en fonction de droits numériques attachés à ces contenus, alors que les applications de gestion de contrôle parental permettent de contrôler l'utilisation d'un contenu en fonction de critères parentaux. Ces deux systèmes sont bien distincts et non compatibles. En particulier, il n'est actuellement pas possible de faire du contrôle parental de façon simple sur un contenu protégé et géré par une licence DRM.
Le document
La présente invention vient améliorer la situation.
A cet effet, l'invention concerne un procédé d'obtention et de contrôle de l'utilisation d'un contenu par un terminal, ledit terminal comprenant un agent client de contrôle de l'utilisation du contenu, dans lequel
Selon l'invention, l'une des conditions d'utilisation du contenu présentes dans la licence associée au contenu est une condition subordonnant l'utilisation du contenu à la réalisation d'une opération de contrôle parental. Ainsi, la vérification des conditions d'utilisation d'un contenu déclenche la réalisation de l'opération de contrôle parental. En outre, le terminal transmet au serveur l'identifiant d'un module de contrôle parental et reçoit en réponse le contenu et une licence générée spécifiquement pour le terminal et contenant l'identifiant de module de contrôle parental préalablement transmis. Cela permet une gestion plus souple de l'utilisation des modules de contrôle parental. Le terminal peut aisément changer de module de contrôle parental. Il lui suffit de transmettre un identifiant du nouveau module de contrôle parental choisi au serveur pour que celui-ci génère, suite à une demande ultérieure de contenu, une licence associée contenant l'identifiant de ce nouveau module de contrôle parental.
Dans un premier mode de réalisation, l'identifiant de module de gestion de contrôle parental est présent dans la requête transmise par le terminal au serveur pour obtenir le contenu.
Dans un deuxième mode de réalisation, l'identifiant de module de gestion de contrôle parental est transmis par le terminal au serveur lors d'une étape préalable de configuration et est stocké par le serveur dans une base de données en vue de répondre à des requêtes ultérieures du terminal pour recevoir des contenus.
Avantageusement, il est prévu une étape d'authentification du module de gestion de contrôle parental par l'agent client de contrôle de l'utilisation du contenu.
L'invention concerne aussi un terminal de communication comprenant
L'invention sera mieux comprise à l'aide de la description suivante de plusieurs exemples de réalisation du procédé pour contrôler l'utilisation d'un contenu protégé associé à une licence de gestion de droits numériques et de l'agent client de contrôle, selon l'invention, en référence aux dessins annexés sur lesquels :
Sur la
Le serveur 1 de téléchargement de contenus Ci et de licences L(Ci) de gestion de droits numériques associées, ou licences DRM (Digital Right Management), est adapté pour transmettre des contenus protégés par chiffrement et des licences DRM associées à ces contenus vers des terminaux d'utilisateur, à travers un réseau de communication 100, ici l'Internet. Il est relié à une base de données 5 de contenus Ci en clair (avec i >0).
L'équipement de chiffrement 2, également relié à la base de données 5 de contenus, est destiné à recevoir des requêtes de chiffrement de contenus Ci en provenance du serveur de téléchargement 1. Chaque requête contient ici un identifiant du contenu demandé permettant d'identifier ce contenu dans la base de données 5. En variante, on pourrait envisager que le serveur de téléchargement 1 transmette le contenu en clair avec la requête de chiffrement. Dans ce cas, il ne serait pas nécessaire de relier l'équipement de chiffrement 2 à la base de données 5.
Sur réception d'une requête de chiffrement d'un contenu donné Ci, l'équipement de chiffrement 2 est agencé pour générer une clé cryptographique Kj (avec j>0), chiffrer le contenu Ci avec cette clé Kj puis transmettre au serveur de téléchargement 1 le contenu Ci sous forme chiffrée, noté Kj(Ci), et la clé Kj.
Le serveur 3 de gestion de contrôle parental est agencé pour fournir au serveur de téléchargement 1 des informations sur la nature des contenus. Ces informations peuvent comprendre
Sur la
En référence à la
Le module de communication 400 est adapté pour
Dans le cas où le résultat du contrôle parental est négatif ou dans le cas où les conditions de licence relatives aux droits numériques sur le contenu ne sont pas satisfaites, le module de communication 400 de l'agent client DRM 40 est adapté pour ne pas répondre à la demande d'autorisation d'utilisation du contenu émise par le module de lecture 43, afin de notifier son refus d'utilisation du contenu au module de lecture 43. Dans ce cas, le module de lecture 43 est adapté pour interpréter cette absence de réponse, à l'expiration d'une durée prédéfinie, comme un refus d'utilisation du contenu. En variante, le module de communication 400 pourrait être adapté pour transmettre un message de refus d'utilisation du contenu pour notifier ce refus au module de lecture 43.
Le module de vérification 401 est adapté pour vérifier les conditions d'utilisation d'un contenu présentes dans la licence DRM associée à ce contenu, sur réception d'une demande d'autorisation d'utilisation de ce contenu en provenance du module de lecture 43 du terminal 4. Le module 401 est adapté pour vérifier les conditions de licence relatives aux droits numériques sur le contenu de façon connue. En outre, dans le cas où la licence DRM du contenu contient une condition de contrôle parental, le module 401 est apte à déterminer que l'utilisation de ce contenu est subordonnée à une obligation de réaliser une opération de contrôle parental sur le contenu et, dans ce cas, déclencher un dialogue entre l'agent DRM 40 et le module 41 de gestion de contrôle parental pour commander la réalisation d'une opération de contrôle parental et recevoir le résultat de cette opération.
On va maintenant décrire le téléchargement et la lecture d'un contenu Ci par le terminal d'utilisateur 4, en référence aux
En référence à la
Lors d'une étape E1, le serveur de téléchargement 1 obtient, en réponse à une requête REQ1(Ci) adressée au serveur de contrôle parental 3, des informations sur la nature du contenu Ci, notée INFO(Ci). Ces informations INFO(Ci) comprennent ici des niveaux caractérisant le contenu par rapport aux critères parentaux de violence, de nudité ou de sexe.
Lors d'une étape E2, le serveur de téléchargement 1 obtient, en réponse à une requête REQ2(Ci) adressée à l'équipement de chiffrement 2, le contenu Ci sous forme chiffrée à l'aide d'une clé cryptographique de chiffrement/déchiffrement, noté Kj(Ci), ainsi que la clé Kj utilisée pour chiffrer le contenu Ci.
Les étapes E1 et E2 sont ici réalisées suite à la réception de la requête de téléchargement REQ0(Ci) par le serveur de téléchargement 1. L'ordre dans lequel ces deux étapes sont réalisées est indifférent, l'étape E2 pouvant être réalisée avant l'étape E1. En variante, les étapes E1 et E2 pourraient également être réalisées avant la réception de la requête de téléchargement REQ0(Ci) du terminal utilisateur.
Lors d'une étape E3, le serveur de téléchargement 1 génère une licence DRM L(Ci) pour le contenu Ci. Cette licence L(Ci) est une structure de données contenant les éléments suivants :
Les conditions d'utilisation du contenu Ci contiennent deux types de conditions
Cette dernière condition COND_USE2 contient
Cette licence DRM L(Ci) peut être stockée sur un support d'enregistrement. En l'espèce, elle est destinée à être transmise à un terminal destinataire et à être stockée dans une mémoire de ce terminal.
Lors d'une étape E4, en réponse à la requête de téléchargement REQ0(Ci), le serveur de téléchargement 1 transmet au terminal 4 le contenu Ci sous forme chiffrée à l'aide de la clé Kj, à savoir Kj(Ci), et la licence DRM L(Ci) associée à ce contenu Ci.
Lors d'une étape E5, le terminal 4 reçoit et stocke dans une mémoire locale 48 le contenu Ci sous forme chiffrée, Kj(Ci), et la licence DRM associée L(Ci).
Lors d'une étape E6 ultérieure, un utilisateur saisit à l'aide de l'interface utilisateur 44 du terminal 5 une commande de lecture du contenu Ci.
Sur réception de la commande de lecture du contenu Ci saisie, notée Cd_READ(Ci), le module de lecture 43 adresse une demande d'utilisation du contenu Ci, notée REQ_USE(Ci), à l'agent client DRM 40, lors d'une étape E7.
On va maintenant décrire, en référence à la
Sur réception de la demande REQ_USE(Ci) d'utilisation du contenu Ci, l'agent DRM 40 déclenche la vérification des conditions d'utilisation du contenu Ci, présentes dans la licence L(Ci), en l'espèce les conditions COND_USE1 relatives aux droits numériques attachés au contenu Ci et la condition COND_USE2 relative au contrôle parental.
Lors d'une étape E8, il est d'abord déterminé que l'utilisation du contenu Ci est subordonnée à une obligation COND_USE2 de réaliser une opération de contrôle parental sur le contenu Ci.
Lors d'une étape E9, l'agent DRM 40 extrait de la licence L(Ci) l'identifiant unique du module 41 de contrôle parental et les informations INFO(Ci) sur la nature du contenu Ci.
Puis, lors d'une étape E10, à l'aide de l'identifiant extrait de la licence L(Ci), l'agent DRM 40 transmet une demande d'autorisation pour utiliser le contenu, notée REQ_AUTH(Ci), au module 41 de gestion de contrôle parental. La demande REQ_AUTH(Ci) contient les informations INFO(Ci) sur la nature du contenu Ci extraites de la licence L(Ci).
Lors d'une étape E11, le module 41 de gestion du contrôle parental informe l'utilisateur sur le fait que le contenu demandé a certains niveaux relatifs aux critères parentaux prédéfinis (ici violence, nudité et sexe), par l'intermédiaire de l'interface utilisateur 44.
Par ailleurs, le module 41 de gestion de contrôle parental détermine si les niveaux du contenu Ci relatifs aux critères parentaux requièrent une certaine maturité de l'utilisateur, lors d'une étape de test E12. Dans l'exemple décrit ici, tel est le cas si au moins l'un des niveaux est supérieur ou égal à deux.
Si le test E12 est négatif (branche N suite à l'étape E12), autrement dit si le contenu Ci peut être utilisé sans restriction d'âge de l'utilisateur, le module 41 de gestion de contrôle parental transmet à l'agent DRM 40, en réponse à la demande d'autorisation REQ_AUTH(Ci), un message d'autorisation d'utilisation du contenu Ci, noté MESS_AUTH(Ci), lors d'une étape E13.
Si le test E12 est positif (branche Y suite à l'étape E12), autrement dit si le contenu Ci peut être utilisé à condition que l'utilisateur ait une certaine maturité, le module 41 demande à l'utilisateur de prouver qu'il est suffisamment mature pour le contenu Ci lors d'une étape E14.
Lors d'une étape E15, l'utilisateur saisit des informations destinées à prouver sa maturité à l'aide de l'interface utilisateur 44. Ces informations de preuve de maturité peuvent comprendre, à titre d'exemples illustratifs, un code parental confidentiel, des coordonnées de carte bancaire, des données d'identification correspondant à un compte utilisateur considéré comme suffisamment mature, ou tout autre information de nature à prouver une certaine maturité de l'utilisateur.
En variante, au lieu de demander à l'utilisateur de saisir des informations destinées à prouver sa maturité, le module 41 de gestion de contrôle parental pourrait utiliser des informations relatives à l'utilisateur, destinées à prouver sa maturité, gardées en mémoire, par exemple sous la forme de "cookies" (ou "témoins"). Dans ce cas, les étapes E14 et E15 pourraient ne pas être mises en oeuvre.
Lors d'une étape de test E16, le module 41 de gestion de contrôle parental vérifie l'exactitude des informations de preuve de maturité fournies par l'utilisateur. Cette vérification est faite par comparaison des informations saisies avec des informations d'utilisateur pré-stockées dans une mémoire 49 du terminal 4. Le module 41 détermine ainsi si l'utilisateur a apporté la preuve d'une maturité suffisante pour lire le contenu Ci.
Si l'étape de test E16 est négative (branche N suite à l'étape E16), autrement dit si les informations fournies par l'utilisateur ne permettent pas de prouver que l'utilisateur a une maturité suffisante pour lire le contenu Ci, le résultat du contrôle parental est négatif. Dans ce cas, le module 41 de gestion de contrôle parental notifie à l'agent DRM 40 un refus d'utilisation du contenu Ci. Ce refus peut être communiqué par la transmission du module 41 de contrôle parental à l'agent DRM 40 d'un message de refus, noté MESS_REF(Ci), en réponse à la demande REQ_AUTH(Ci) d'autorisation d'utilisation du contenu Ci, lors d'une étape E17. En variante, le refus d'utilisation du contenu Ci pourrait être notifié par le module de contrôle parental 41 à l'agent DRM 40 par une absence de réponse à la demande REQ_AUTH(Ci) d'autorisation d'utilisation du contenu Ci à l'expiration d'un délai d'attente, ou time-out, prédéfini.
L'étape E17 est suivie d'une étape E21, décrite plus loin, de notification d'un refus d'utilisation du contenu Ci par l'agent DRM 40 au module de lecture 43. Lors de cette étape E21, l'agent DRM 40 informe le module de lecture 43 qu'il refuse l'utilisation par ce dernier du contenu Ci.
Si l'étape de test E16 est positive (branche Y suite à l'étape E16), autrement dit si les informations fournies par l'utilisateur permettent de prouver que l'utilisateur a une maturité suffisante pour lire le contenu Ci, le résultat du contrôle parental est positif. Dans ce cas, le module 41 de gestion de contrôle parental transmet à l'agent DRM 40 un message d'autorisation d'utilisation du contenu Ci, MESS_AUTH(Ci), en réponse à la demande REQ_AUTH(Ci) d'autorisation d'utilisation du contenu Ci, lors d'une étape E18.
Suite à chacune des étapes E13 et E18 d'envoi d'un message d'autorisation d'utilisation du contenu Ci, MESS_AUTH(Ci) par le module 41 de contrôle parental à l'agent DRM 40, l'agent client DRM 40 vérifie, de façon connue, les conditions d'utilisation COND_USE1 relatives à la gestion des droits numériques attachés au contenu Ci, lors d'une étape E19.
S'il est déterminé à l'étape E19, subséquente à l'étape E13 ou E18, que les conditions COND_USE1 sont satisfaites (branche Y suite à l'étape E19), l'agent DRM 40 autorise le module de lecture 43 à utiliser le contenu Ci, en réponse à la demande d'utilisation REQ_USE(Ci). Pour cela, l'agent DRM 40 transmet au module de lecture 43 un message d'accord d'utilisation du contenu Ci, noté OK_USE(Ci), lors d'une étape E20. Le message OK_USE(Ci) contient la clé Kj de déchiffrement du contenu Ci.
S'il est déterminé à l'étape E19 que les conditions C0ND_USE1 ne sont pas satisfaites (branche N suite à l'étape E19), l'étape E19 est suivie de l'étape E21 de notification d'un refus d'utilisation du contenu Ci par l'agent DRM 40 au module de lecture 43. Lors de cette étape E21, subséquente à l'étape E17 ou E19, l'agent DRM 40 informe le module de lecture 43 de son refus d'utilisation du contenu Ci par le module de lecture 43 ici en s'abstenant de répondre à la demande d'utilisation REQ_USE(Ci) initiale du module de lecture 43. L'absence de réponse à la demande d'utilisation du contenu Ci REQ_USE(Ci) de la part de l'agent DRM 40 à l'expiration d'un délai d'attente, ou time-out, prédéterminé est interprétée par le module de lecture 43 comme la notification d'un refus implicite d'utilisation du contenu Ci. En variante, pour notifier le refus d'utilisation du contenu Ci au module de lecture 43, l'agent DRM 40 pourrait transmettre au module de lecture 43 un message explicite de refus d'utilisation du contenu Ci, noté NOK_USE(Ci), en réponse à la demande d'utilisation REQ_USE(Ci).
Suite à l'étape E20, sur requête du module de lecture 43, le module de déchiffrement 42 déchiffre le contenu protégé Kj(Ci) à l'aide de la clé Kj contenue dans la licence L(Ci), lors d'une étape E22. Puis, lors d'une étape E23, le module de lecture 43 lit le contenu Ci demandé par l'utilisateur.
Dans la description qui précède, la condition COND-USE2 est vérifiée avant les conditions COND_USE1. Dans une variante de réalisation, les conditions COND_USE1 relatives à la gestion de droits numériques d'utilisation du contenu sont vérifiées avant la condition COND_USE2 subordonnant l'utilisation du contenu à la réalisation préalable d'une opération de contrôle parental. Selon cette variante, les étapes E19-E21 sont mises en oeuvre avant les étapes E8-E18.
Dans un autre mode de réalisation, la liaison entre l'agent client DRM 40 et le module 41 de gestion de contrôle parental est sécurisée. Cette sécurisation a pour objectif principal de garantir l'origine et l'intégrité des données échangées entre les deux composants 40 et 41. En particulier, un but de cette sécurisation est de permettre à l'agent client DRM 40 d'authentifier les données transmises par le module 41 de gestion de contrôle parental. Différentes techniques sont envisageables pour sécuriser le lien entre les deux composants 40 et 41.
Une première technique repose sur un secret partagé entre l'agent DRM 40 et le module 41 de gestion de contrôle parental. Par exemple, le module 41 de gestion de contrôle parental possède un secret k et la licence L(Ci) du contenu Ci contient une information apte à permettre à l'agent DRM de retrouver ce secret k. Cette information est soit le secret k lui-même, soit une donnée de diversification qui permet à partir d'un germe connu de l'agent DRM 40 de retrouver le secret k. En variante, le secret k peut être stocké dans l'agent DRM 40 et dans le module 41 de gestion de contrôle parental lors d'une phase de configuration. Ce secret k peut être utilisé lors des échanges entre l'agent DRM 40 et le module 41 de gestion de contrôle parental soit pour chiffrer les messages échangés, soit pour réaliser des sommes de contrôle cryptographiques, plus couramment appelés "checksums" cryptographiques, à partir des messages échangés.
Une deuxième technique repose sur l'utilisation d'un certificat associé au module 41 de gestion de contrôle parental, contenant une clé publique Kpub détenue par le module 41. Une clé privée Kpr, associée à cette clé publique, est mémorisée par le module de contrôle parental 41. Dans ce cas, la licence L(Ci) du contenu Ci peut contenir le certificat du module 41 de contrôle parental. Lors des échanges entre l'agent DRM 40 et le module de contrôle parental 41, celui-ci peut signer avec sa clé privée Kpr les messages transmis à l'agent DRM 40. L'agent DRM 40 peut ensuite vérifier la signature des messages à l'aide de la clé publique Kpub. Ainsi, l'agent DRM 40 peut authentifier l'origine des messages reçu en provenance du module de contrôle parental 41.
On pourrait envisager d'autres techniques pour protéger le lien entre l'agent DRM 40 et l'application de contrôle parental 41 et permettre au moins à l'agent DRM 40 d'authentifier l'origine des messages qu'il reçoit lors de ses échanges avec le module de contrôle parental 41.
Dans la description qui précède, les informations INFO(Ci) sur la nature du contenu Ci et l'identifiant unique du module 41 de gestion de contrôle parental sont contenues dans la licence DRM L(Ci). En variante, les informations sur la nature du contenu Ci pourraient être contenues dans le contenu Ci lui-même, par exemple dans des métadonnées présentes dans le contenu Ci. De même, l'identifiant du module 41 de gestion de contrôle parental pourrait être contenu dans le contenu lui-même.
Au lieu d'être stockées localement dans le terminal, les informations d'utilisateur destinées à être utilisées lors de l'étape de test E16 pour vérifier l'exactitude des informations de preuve de maturité saisies par l'utilisateur pourraient être stockées dans une base de données distante située dans un serveur distant. Dans ce cas, lors de l'étape E16, le module 41 de gestion de contrôle parental serait adapté pour dialoguer avec ce serveur distant à travers l'Internet et interroger cette base de données distante afin de vérifier l'exactitude des informations fournies par l'utilisateur.
Dans une autre variante de réalisation, l'agent client DRM pourrait transmettre la demande d'autorisation REQ_AUTH (Ci) pour utiliser le contenu vers un module de gestion de contrôle parental hébergé par un serveur distant, à travers un réseau de communication.
Dans la description qui précède, les informations sur la nature du contenu INFO(Ci) sont fournies au module 41 de contrôle parental par l'agent DRM 40. En variante, le module 41 de contrôle parental pourrait récupérer ces informations sur la nature du contenu en interrogeant une base de données locale ou distante (à travers l'Internet 100).
On pourrait envisager que la clé Kj de déchiffrement du contenu C ne soit pas contenu dans la licence DRM L(Ci) associée au contenu, mais qu'elle stockée dans le terminal 4 par un autre moyen.
Cette liste de références citées par le demandeur vise uniquement à aider le lecteur et ne fait pas partie du document de brevet européen. Même si le plus grand soin a été accordé à sa conception, des erreurs ou des omissions ne peuvent être exclues et l'OEB décline toute responsabilité à cet égard.